Rapport explicatif

Rapport explicatif sur la révision de l’ordonnance relative à la loi fédérale sur la protection des données

Le Conseil fédéral considère par conséquent qu’il est opportun de définir certains standards de protection des données et précise à l’art. 9, al. 1, P-OLPD les points sur lesquels doivent au moins porter ces clauses de protection ou ces garanties spécifiques. Il s’agit en particulier des éléments suivants : l’application des principes de licéité, de bonne foi, de proportionnalité, de finalité et d’exactitude (let. a) ; les catégories de données communiquées et de personnes concernées (let. b) ; le type et la finalité de la communication des données personnelles (let. c) ; le nom des Etats de destination (let. d) ; le nom des organismes internationaux de destination (let. e) ; les conditions applicables à la conservation, à l’effacement et la destruction des données personnelles (let. f) ; les destinataires habilités à traiter les données (let. g) ; les mesures garantissant la sécurité des données personnelles (let. h) ; les conditions applicables à la communication des données à un autre Etat étranger ou à un autre organisme international (let. i) ; le devoir des destinataires d’informer les personnes concernées par le traitement des données (let. j) et les droits de la personne concernée (let. k), en particulier : le droit de demander l’accès à ses données personnelles (ch. 1), le droit de s’opposer au traitement des données personnelles (ch. 2) ; le droit de demander la rectification, l’effacement ou la destruction de données personnelles (ch. 3) et le droit de saisir en justice une autorité indépendante (autorité de protection des données ou tribunal) (ch. 4).

Tous ces éléments reprennent les fondements de la nLPD et un alinéa 2 vient encore préciser que lorsqu’il communique des données personnelles à l’étranger, le responsable du traitement prend les mesures adéquates pour s’assurer que le destinataire respecte les clauses de protection des données d’un contrat ou les garanties spécifiques. Cet alinéa (qui reprend en substance l’art. 6, al. 4, OLPD) permet ainsi de s’assurer que le destinataire des données communiquées respecte le cadre de la protection des données applicable en Suisse.

Enfin, un troisième alinéa reprend l’al. 2 de l’art. 6 OLPD concernant le devoir d’information du responsable du traitement. Il n’est modifié que de manière formelle (remplacement du terme "maître du fichier" notamment).

Art. 10 Clauses types de protection des données

Comme dans le cadre des communications de données à l’étranger fondées sur des clauses de protection des données d’un contrat et des garanties spécifiques, les communications qui reposent sur des clauses types de protection des données (art. 16, al. 2, let. d, nLPD) doivent effectivement respecter le droit suisse de la protection des données. Ainsi, l’art. 10, al. 1, P-OLPD reprend également l’art. 6, al. 4, OLPD et précise que le responsable du traitement doit prendre des mesures adéquates pour s’assurer que le destinataire respecte bien les clauses types. Le commentaire de l’OLPD rédigé par l’Office fédéral de la justice²⁰ précise cette obligation de diligence de la manière suivante : « La question de savoir si les mesures sont adéquates dépend des circonstances du cas d’espèce. Les exigences seront plus élevées s’il s’agit de données sensibles ou de profils de la personnalité que pour les autres données personnelles ». Bien que la notion de "profils de la personnalité" n’existe plus dans la nLPD, l’explication n’en reste pas moins pertinente pour comprendre que les mesures adéquates doivent être adaptées aux situations concrètes.

Par ailleurs, l’art. 10, al. 2, P-OLPD précise l’art. 16, al. 2, let. d, nLPD selon lequel les

clauses types de protection des données, qui peuvent être élaborées par une personne privée ou par un organe fédéral, doivent être soumises au PFPDT. Ainsi, celui-ci rend une